מהו DSAR?
DSAR או Data Subject Access Request הוא מנגנון משפטי המעוגן בתקנות פרטיות, המאפשר ליחידים
(נושאי המידע) לדרוש מכל ארגון מידע אישי שנאסף, נשמר או עובד עליהם.
המשמעות המרכזית היא שקיפות ושליטה של הפרט במידע שנוגע אליו.
DSAR הוא רכיב מהותי בתקנות כמו:
ה-GDPR (General Data Protection Regulation) של האיחוד האירופי
ה-CCPA (California Consumer Privacy Act) בארה״ב
חוק הגנת הפרטיות בישראל (בעיקר בהיבט הזכות לעיון)
מטרות DSAR
לאפשר לפרט לדעת איזה מידע מחזיק עליו הארגון
לאפשר לו לדרוש תיקון, מחיקה או הגבלת עיבוד
לחזק את עקרונות שקיפות, אמון והגנה על פרטיות
זכויות נושא המידע במסגרת DSAR
נושא המידע זכאי:
לקבל עותק של המידע המעובד עליו (כולל מטא־דאטה רלוונטית)
לדעת את מטרות העיבוד, מקורות הנתונים, נמענים
להבין את תקופת השמירה או הקריטריונים לקביעתה
לדעת אם מתבצע עיבוד אוטומטי או פרופיילינג
לדרוש תיקון או מחיקה של מידע שגוי או לא נדרש
תהליך טיפול ב-DSAR
| שלב | תיאור |
| 1. אימות זהות המבקש | ווידוא כי המבקש הוא אכן נושא המידע |
| 2. איסוף מידע רלוונטי | מכל המערכות הארגוניות (DB, CRM, דוא”ל, לוגים ועוד) |
| 3. סקירה משפטית | סינון מידע לא רלוונטי, הגנה על זכויות צדדים שלישיים |
| 4. מענה למבקש | תוך 30 יום (GDPR) או עד 45 יום (CCPA), עם אפשרות הארכה |
| 5. תיעוד מלא של התהליך | לצורכי ציות וAudit trail |
אתגרים בביצוע DSAR
איתור מידע מבוזר בין מערכות רבות
איזון בין זכויות פרטיות שונות (למשל: הגנה על זכויות עובדים אחרים)
סינון מידע רגיש עסקי/מסווג
מגבלות זמן קפדניות
צורך באוטומציה ככל הניתן כדי להפחית עומס תפעולי וטעויות
טכנולוגיות וכלים עבור DSAR
מערכות DPIA/Privacy Management
מערכות לניהול DSAR Portals
מערכות Data Discovery & Classification
AI-assisted redaction tools להסתרת פרטים לא רלוונטיים
תיעוד בתיקי RoPA (Records of Processing Activities)
שאלות ותשובות בנושא DSAR
מה קורה אם המבקש שולח DSAR אנונימי?
ה-GDPR מחייב אימות זהות המבקש.
אם הארגון אינו מסוגל לוודא את הזהות, הוא רשאי לסרב למענה, אך עליו ליידע את המבקש
ולנמק את הסירוב.
עם זאת, עליו לשמור את התיעוד של הבקשה עצמה.
האם מותר לגבות תשלום על DSAR?
לפי ה-GDPR, מענה ל-DSAR צריך להיות ללא תשלום.
עם זאת, אם מדובר בבקשות חוזרות, בלתי סבירות או מופרזות, מותר לגבות תשלום “סביר”
או לדחות את הבקשה תוך הסבר מנומק.
איך מתמודדים עם בקשת DSAR בארגון שמכיל גם מידע של צדדים שלישיים (כמו עובדים אחרים)?
יש לבצע איזון בין זכויות נושא המידע לזכויות הפרטיות של צדדים אחרים.
יש לטשטש או להסיר מידע שמזהה עובדים/לקוחות אחרים. כל החלטה צריכה להיתמך בייעוץ משפטי
ומתועדת כחלק מהתהליך.
האם מידע עסקי רגיש חייב להיכלל בתשובת DSAR?
אם מדובר במידע אישי של נושא הבקשה (למשל פרופיל התנהגות או הערכת ביצועים), יש לכלול אותו.
מידע עסקי שאינו אישי, גם אם הוא מסווג, אינו כלול תחת DSAR.
